Programme de la formation
Audit et contrôle de la sécurité des systèmes d'information

• Introduction à l'Audit et au Contrôle de la Sécurité du SI

  - Définition et objectifs de l'audit de sécurité
  - Les principes fondamentaux de la gouvernance de la cybersécurité
  - Cadres normatifs et réglementaires (ISO 27001, RGPD, SOC 2)

• Méthodologies d'Audit de Sécurité

  - Types d'audits : interne, externe, technique, organisationnel
  - Les phases d'un audit : planification, exécution, reporting
  - Outils et techniques d'audit (scanners de vulnérabilités, tests d'intrusion)

• Évaluation des Risques de Sécurité

  - Identification et classification des actifs numériques
  - Méthodologies d'analyse des risques (EBIOS RM, MEHARI)
  - Matrice de criticité et cartographie des menaces

• Indicateurs Clés de Risque (KRI) et de Contrôle (KCI)

  - Différence et complémentarité KRI/KCI avec les KPI
  - Sélection et élaboration de KRI pour la veille stratégique
  - Mise en place de KCI pour l'efficacité des mesures de sécurité

• Concevoir un Tableau de Bord de Sécurité (SIEM)

  - Principes et enjeux d'un tableau de bord de sécurité efficace
  - Choix des informations pertinentes à afficher (agrégation de données)
  - Outils SIEM (Security Information and Event Management) et leurs fonctionnalités

• Audit des Politiques et Procédures de Sécurité

  - Revue de la documentation de sécurité (politiques, chartes, procédures)
  - Vérification de l'application des politiques par les utilisateurs
  - Identification des lacunes et incohérences documentaires et pratiques

• Audit Technique des Infrastructures (Réseaux, Systèmes)

  - Audit de la configuration des équipements réseau (pare-feu, routeurs)
  - Audit des systèmes d'exploitation et des applications (patch management)
  - Sécurité des infrastructures cloud et virtualisées

• Audit de la Gestion des Identités et des Accès (IAM)

  - Revue des processus de gestion des comptes utilisateurs
  - Audit des privilèges et des droits d'accès
  - Sensibilisation et vérification des bonnes pratiques des utilisateurs

• Rédaction du Rapport d'Audit et Recommandations

  - Structure et contenu d'un rapport d'audit de sécurité
  - Formulation de recommandations claires, mesurables et priorisées
  - Présentation des résultats aux parties prenantes (direction, équipes techniques)

• Suivi des Plans d'Action et Amélioration Continue

  - Mise en place et suivi des plans d'action post-audit
  - Mécanismes d'amélioration continue (PDCA, retours d'expérience)
  - Intégration de l'audit dans le cycle de vie de la sécurité du SI

• Cas Pratiques et Exercices de Synthèse

  - Analyse de scénarios d'audit de sécurité réels
  - Exercice de construction d'un tableau de bord de KPI/KRI
  - Simulation de reporting et de recommandations d'audit
  === COMPETENCE ===
  COMPETENCE_NUMBER: 1
  COMPETENCE_NAME: Auditer la posture de sécurité d'un SI
  COMPETENCE_CONTENT: Planifier et exécuter un audit complet de la sécurité du système d'information, en identifiant les vulnérabilités techniques et organisationnelles selon les cadres normatifs.
  === COMPETENCE ===
  COMPETENCE_NUMBER: 2
  COMPETENCE_NAME: Évaluer et cartographier les risques cyber
  COMPETENCE_CONTENT: Maîtriser les méthodologies d'évaluation des risques afin de les identifier, les analyser et les prioriser, permettant ainsi une meilleure allocation des ressources de sécurité.
  === COMPETENCE ===
  COMPETENCE_NUMBER: 3
  COMPETENCE_NAME: Définir et piloter des indicateurs de sécurité pertinents
  COMPETENCE_CONTENT: Concevoir et mettre en œuvre des KPI, KRI et KCI pertinents pour monitorer l'efficacité des contrôles et la résilience du SI face aux menaces cyber.
  === COMPETENCE ===
  COMPETENCE_NUMBER: 4
  COMPETENCE_NAME: Recommander et suivre des plans d'action sécurité
  COMPETENCE_CONTENT: Rédiger des rapports d'audit clairs avec des recommandations actionnables et assurer le suivi de l'implémentation des mesures correctives pour une amélioration continue.